Negli ultimi anni, complice la trasformazione digitale che ha investito l’intera economia europea con il programma Percorso per il decennio digitale, la cyber sicurezza è passata dall’essere una questione riservata a pochi addetti ai lavori a una vera priorità per governi, imprese e operatori assicurativi.
Come sottolinea il Rapporto Clusit, nonostante i budget per la sicurezza informatica siano in crescita, il divario tra capacità offensiva degli attaccanti ed efficacia delle contromisure continua ad ampliarsi.
In un mondo sempre più interconnesso, segnato da conflittualità ibrida e competizione geopolitica, la sicurezza informatica non è più una questione tecnica, ma un fattore di equilibrio economico e democratico.
Secondo il Cyber Readiness Report 2025 di Hiscox Group, il 59% delle Pmi ha subito un attacco informatico nell’ultimo anno e l’80% delle vittime di ransomware ha pagato il riscatto.
Indice degli argomenti
Attacchi cyber, normative e aumento dei rischi geopolitici
La costante crescita delle minacce informatiche rappresenta una sfida per la sicurezza nazionale, mettendo a rischio gli interessi di Stati e cittadini. Nel primo semestre 2025 sono stati registrati 2.755 incidenti, con un aumento del +36% rispetto al semestre precedente.
In Italia, l’hacktivism – pari al 54%, contro l’8% globale – supera persino il cybercrime (46%), evidenziando dinamiche specifiche e un’elevata esposizione del Paese.
A livello globale, Usa, Cina e Russia investono massicciamente in capacità offensive e difensive.
La Nato ha riconosciuto il cyberspazio come quinto dominio operativo, sostenendo la cooperazione tra Paesi membri attraverso strutture come il Cyber Defence Centre of Excellence di Tallinn [5].
Sul fronte normativo, resta centrale la Convenzione di Budapest sul Cybercrime, rafforzata dal Secondo Protocollo aggiuntivo del 2022 per migliorare la cooperazione sulla raccolta delle prove digitali.
Impatto organizzativo e pressione sulle imprese
La digital economy, lo smart working e l’interconnessione delle filiere industriali hanno aumentato l’esposizione agli attacchi.
Il Cyber Readiness Report 2025 mostra che il 39% delle aziende segnala pressione elevata sul personale e il 32% casi di burnout.
Gli attacchi ransomware, tra le minacce più destabilizzanti, colpiscono imprese di ogni dimensione, generando costi economici e organizzativi rilevanti.
Investimenti in AI e nuove vulnerabilità
Per limitare l’impatto delle minacce, il 94% delle PMI aumenterà gli investimenti in sicurezza informatica nei prossimi dodici mesi, anche grazie all’uso dell’intelligenza artificiale.
Sebbene il 65% dei responsabili IT percepisca l’AI come un asset, emergono timori legati a social engineering, phishing, malware e rischio di perdita di controllo sui dati (60%). Per gestire tali criticità, le imprese puntano su polizze assicurative specifiche (37%), formazione sulla digital literacy (31%) e audit periodici sull’AI (36%).
Il ruolo del diritto nella risposta agli attacchi cyber
L’intensificarsi delle minacce ha spinto il legislatore a rafforzare il quadro normativo. La Legge n. 90/2024 rappresenta un pilastro della resilienza nazionale, estendendo gli obblighi di cyber sicurezza e notifica degli incidenti al CSIRT Italia a Regioni, Città metropolitane, Comuni sopra i 100.000 abitanti e Aziende sanitarie locali.
La legge potenzia inoltre i requisiti di cybersicurezza nel procurement pubblico, introduce il Centro nazionale di crittografia presso l’ACN e disciplina i rapporti tra ACN, Polizia Giudiziaria e Autorità Giudiziaria.
Il recepimento della NIS2 e il nuovo quadro europeo
Parallelamente, il D.lgs. 138/2024, che recepisce la Direttiva (UE) 2022/2555 (NIS 2), mira a garantire un livello uniforme di sicurezza in 18 settori essenziali, con requisiti più stringenti e sanzioni allineate al GDPR, il Regolamento generale sulla protezione dei dati.
Si inserisce in questo quadro il Regolamento cloud [14], che obbliga le PA a classificare dati e servizi in strategici, critici e ordinari.
Cyber Resilience Act e nuove regole sull’identità digitale
Sul fronte europeo, il Cyber Resilience Act (CRA), applicabile dall’11 dicembre 2027, armonizza i requisiti di sicurezza per i prodotti digitali sul mercato. È coerente con il Regolamento eIDAS2, che introduce l’EUDI Wallet, e con l’AI Act[17], che definisce regole basate sui livelli di rischio.
Da segnalare anche il Cyber Solidarity Act (CSoA), pensato per rafforzare la capacità dell’UE di rispondere a incidenti su vasta scala.
Un ecosistema normativo sempre più integrato
Il livello nazionale dialoga con quello europeo per creare un’architettura legislativa comune in grado di aumentare la protezione della superficie digitale dell’UE.
La cyber sicurezza non è più un tema tecnico, ma un elemento strategico che tutela sicurezza nazionale e competitività economica.
La sfida dei prossimi anni sarà trasformare questo quadro normativo in pratiche operative efficaci, rafforzando cooperazione pubblico-privato e cultura della sicurezza digitale.
